Posted in Advisories, Pentest on October 31st, 2008 by m313
Recientemente se ha dado a conocer esta vulnerabilidad que permite la ejecución remota de código sin necesidad de tener credenciales. La vulnerabilidad es grave, muy grave, crítica. No obstante me agrada poder decir que no se ha anunciado como una nueva vulnerabilidad que rompe internet.
Lo interesante no es hablar y hablar sobre este fallo, sino hacerse con los recursos técnicos suficientes para entenderla, auditarla y en su caso explotarla. No es dificil pero es tedioso, ya que la sobredósis de información hace pesado el acto de separar la paja del grano, espero que os guste mi separación.
Información.
Para entender la vulnerabilidad en sí misma, las causas de la misma y los detalles técnicos el mejor documento que he encontrado es un papper de Sourcefire, empresa del conocido NIDS Snort.
Auditoría.
Para saber si una máquina es vulnerable tenemos por un lado un script realizado por Portcullis Lab, escrito en Python. Por otro lado Nessus ha sacado dos plugins al respecto: 34477 y 34476.
Detección.
Snort ha sacado recientemente una actualización de las reglas VRT que incorpora reglas de detección de esta vulnerabilidad.
Explotación.
Para explotar esta vulnerabildad ha sido publicado un exploit para el framework Metasploit. Tengo que decir que tal como lo descargas este exploit no funciona, pero a poco que investiguéis os daréis cuenta de que le faltan un par de cosillas. Es una medida habitual contra los script kiddies. Yo he realizado las modificaciones y puedo decir que funciona perfectamente.
Por otro lado en Milw0rm han publicado un exploit alternativo, no lo he probado, pero dada la reputación del sitio creo necesario nombrarlo.
Si conocéis alguna mejor ya sabéis, tengo activados los comentarios.